Совет Федерации одобрил регулирование IT-аутсорсинга финсектора
IT-аутсорсинг финсектора получил новые законодательные рамки после одобрения инициативы Советом Федерации. Документ устанавливает единые требования к организациям, которые предоставляют кредитно-финансовым учреждениям услуги в сфере информационных технологий и облачных вычислений. Нормы направлены на снижение операционных рисков при передаче банками и некредитными финансовыми организациями части своих функций внешним подрядчикам.
Аккредитация и аудит как обязательные условия
Законопроект вводит обязательную аккредитацию для компаний, выступающих поставщиками IT-сервисов для финансового сектора. Подрядчики должны будут проходить операционный аудит, подтверждающий соответствие их инфраструктуры и бизнес-процессов установленным критериям. Контроль за соблюдением требований возлагается на Центральный банк Российской Федерации.
Аккредитационная процедура призвана отсеять организации с недостаточным уровнем технической оснащённости или нестабильным финансовым положением. Регулятор получит полномочия по формированию реестра допущенных поставщиков, а также по исключению из него компаний, допустивших серьёзные нарушения. Механизм операционного аудита подразумевает регулярные проверки, а не разовую оценку при включении в перечень.
Подобный подход уже применяется в отношении организаций, выполняющих функции операторов платёжных систем и центральных контрагентов. Распространение практики на IT-аутсорсинг финсектора унифицирует надзорную нагрузку и делает контроль более системным.
Контроль Центрального банка над цепочкой поставщиков
Центральный банк сможет отслеживать не только прямых подрядчиков финансовых организаций, но и субподрядчиков, если те получают доступ к значимым данным или критической инфраструктуре. Кредитные учреждения будут обязаны информировать регулятора о планируемом привлечении аутсорсинговых компаний и предоставлять сведения о содержании заключаемых договоров.
Закон определяет перечень видов деятельности, при передаче которых внешним исполнителям потребуется соблюдение новых правил. В первую очередь это касается обработки платёжной информации, ведения баз данных клиентов, обеспечения кибербезопасности и управления вычислительными мощностями. Для каждого направления будут установлены специфические нормативы, разрабатываемые Банком России в рамках подзаконных актов.
Влияние на обработку персональных данных граждан
Нововведение затрагивает порядок работы с информацией, содержащей персональные данные заёмщиков, вкладчиков и иных клиентов финансовых организаций. Компании-подрядчики, получающие доступ к таким сведениям при обслуживании банковских IT-систем, обязаны будут обеспечивать уровень защиты, сопоставимый с требованиями к самим кредитным учреждениям. Это нормы статьи 7 федерального закона 152-ФЗ «О персональных данных» в корреляции с банковским регулированием.
Для граждан, чьи финансовые обязательства и кредитные истории обрабатываются автоматизированными системами, усиление контроля означает снижение вероятности утечек и несанкционированного использования сведений. При взаимодействии с банком по вопросам реструктуризации задолженности или ипотечных каникул информация передаётся по защищённым каналам, и новый закон обязывает всех звеньев этой цепочки поддерживать единый стандарт безопасности.
Финансовые организации, привлекающие IT-аутсорсинг финсектора без соблюдения аккредитационных требований, могут столкнуться с предписаниями ЦБ РФ об устранении нарушений и ограничениями на проведение отдельных операций. Это создаёт дополнительный барьер для практики привлечения непроверенных подрядчиков ради экономии на инфраструктурных расходах.